Posibleng EMB data breach: hindi pa kumpirmado kung tunay ang nakuhang records

Iniimbestigahan ng Department of Information and Communications Technology (DICT) ang ulat ng posibleng hindi awtorisadong pag-access sa Company Registration System (CRS) ng Environmental Management Bureau (EMB). Ayon sa ulat ng The Philippine Star, naalerto ang mga awtoridad bandang alas-2 ng hapon noong Setyembre 27. Sinabi ng DICT: “At this stage, the reported incident has not yet been confirmed.” Hindi pa nito napapatunayan kung tunay ang sinasabing nakuhang impormasyon o kung sa CRS ito nagmula.

Iniulat ng Radyo Pilipinas noong Setyembre 28 na nasa maintenance ang CRS habang isinasagawa ang assessment at response. Nakikipag-ugnayan ang National Computer Emergency Response Team ng DICT sa EMB para sa imbestigasyon at posibleng pag-aayos. Para sa mga kumpanyang gumagamit ng sistema, ang nakikitang epekto sa ngayon ay ang pagkaantala ng access; wala pang kumpirmasyon na nalantad ang records ng isang partikular na negosyo.

Ang ulat at ang sinusuri ng DICT

May malinaw na hangganan ang nalalaman tungkol sa insidente. Nagsimula ang imbestigasyon matapos makatanggap ng ulat ang mga awtoridad. Ang mismong pagtanggap ng ulat ay hindi pa pagtukoy kung may pumasok sa sistema o nakakuha ng datos.

• Kumpirmado: Sinusuri ng DICT ang ulat na may kinalaman sa EMB CRS. Kasama sa tugon ang koordinasyon sa EMB at ang paglalagay ng sistema sa maintenance habang nagpapatuloy ang assessment.
• Kumpirmado: Ang CRS ay ginagamit sa pagrerehistro at pagpapanatili ng impormasyon ng mga negosyo. Kabilang sa mga inilalarawang rekord nito ang detalye ng pagmamay-ari, katayuan ng rehistrasyon at corporate filings.
• Sinusuri: Kung nagkaroon nga ng hindi awtorisadong access, paano ito nangyari at kung may nakuhang impormasyon. Kailangan ding matukoy kung tunay ang sinasabing records at kung sa EMB CRS ang pinagmulan ng mga ito.
• Sinusuri: Ang posibleng lawak ng insidente at kung aling impormasyon o mga gumagamit ang maaaring maapektuhan. Hindi pa matitiyak mula sa paunang ulat kung may partikular na filing o account na nalantad.

Posibleng personal at corporate information ang sangkot sa iniulat na exposure. Mahalaga ang pagkakaibang ito sa mga kumpanyang nakarehistro sa CRS: ang uri ng impormasyong karaniwang hawak ng sistema ay nagpapakita kung ano ang maaaring maging sensitibo, ngunit hindi pa nito tinutukoy kung anong datos, kung mayroon man, ang talagang nakuha.

Bakit mahalaga sa negosyo ang laman ng CRS

Maaaring kasama sa isang rekord ng negosyo ang mga taong may kaugnayan sa kumpanya, ang katayuan ng rehistrasyon nito at mga isinumiteng corporate filing. Kung mapatunayang may kopyang lumabas sa sistema, ang eksaktong mga field na kasama sa kopyang iyon ang magtatakda kung sino ang kailangang abisuhan at kung anong proteksiyon ang kailangan. Hindi sapat ang pangkalahatang paglalarawang “corporate data” upang malaman ang panganib sa bawat account holder.

May agarang halaga rin ang kumpirmasyon ng pinagmulan ng sinasabing records. Kung mula sa CRS ang mga ito, kailangang iugnay ang resulta ng pagsusuri sa mga rekord na hawak ng EMB at sa mga kumpanyang gumagamit ng sistema. Kung iba ang pinagmulan, ibang saklaw ng abiso at pagtugon ang maaaring kailanganin. Sa kasalukuyan, ang makatwirang paghahanda ay nakabatay sa sariling account at mga isinumiteng impormasyon ng kumpanya, hindi sa palagay na lahat ng rekord sa CRS ay nakompromiso.

Nasa maintenance pa ang pampublikong pahina

“MAINTENANCE MODE” ang ipinapakita ng opisyal na pahina ng EMB CRS nang tingnan noong Oktubre 2. Tugma ito sa iniulat na pansamantalang paghinto ng access habang sinusuri ang insidente. Walang oras ng pagbabalik ng serbisyo o resulta ng imbestigasyon na nakalagay sa pahinang iyon, kaya dapat magplano ang gumagamit batay sa kasalukuyang pagkaantala, hindi sa ipinapalagay na petsa ng pagbubukas.

Para sa pollution control officer o account administrator, magkahiwalay na usapin ang transaksiyong hindi maituloy at ang posibleng paglantad ng datos. Itala kung aling rehistrasyon o iba pang gawain ang naantala, ang takdang petsa nito at ang taong responsable sa kumpanya. Kung may kailangang ayusin habang hindi magamit ang CRS, gamitin ang dati nang opisyal na contact channel ng EMB upang itanong ang wastong proseso; huwag umasa sa link o contact detail mula sa hindi inaasahang mensahe.

Maingat na tugon ng mga may CRS account

Makagagawa ng mga hakbang sa seguridad ang kumpanya habang hinihintay ang resulta nang hindi ipinapalagay na nakompromiso ang account nito. Unahin ang mga hakbang na maaaring gawin sa sariling talaan at sa mga serbisyong maa-access pa, lalo na kung maraming empleyado ang gumagamit ng iisang pangnegosyong proseso.

1. Tukuyin kung sino ang kasalukuyang may pahintulot na gumamit ng CRS at kung aling email address ang ginagamit sa mga abiso. Ihanda ang pagwawasto ng panloob na listahan kung may dating empleyado o contact na hindi na dapat tumanggap ng mensahe tungkol sa account.
2. Suriin ang inbox ng rehistradong email para sa hindi inaasahang kahilingang magbigay ng password, magbukas ng attachment o magbayad upang maibalik ang access. Ihiwalay at itago ang kahina-hinalang mensahe kung kakailanganin itong iulat, at dumaan sa nakasanayang opisyal na channel bago tumugon.
3. Kung ginagamit din sa ibang account ng kumpanya ang password para sa CRS, palitan ang kaparehong password sa mga account na maa-access sa kanilang opisyal na pahina. Para sa mismong CRS, hintayin ang pagbabalik ng serbisyo o malinaw na tagubilin ng EMB bago subukang magbago ng detalye roon.
4. Panatilihin ang tala ng mga transaksiyong naapektuhan ng maintenance, kasama ang anumang deadline at kailangang dokumento. Makakatulong itong maipagpatuloy ang gawain kapag nagbigay ang EMB ng paraan upang muling makapasok o magsumite.

Ang susunod na mahalagang detalye para sa mga rehistradong negosyo ay ang beripikadong resulta ng pagsusuri: kung may nangyaring access, kung sa CRS nagmula ang sinasabing impormasyon, at kung aling mga rekord at account ang saklaw nito. Doon mababatay ang anumang tiyak na abiso o karagdagang hakbang para sa mga apektadong kumpanya.

Basahin din:

• AI.Smart sa ₱49: mura ang pasok, pero credits ang tunay na limitasyon
• ASEAN DEFA ihahain sa Nobyembre—kasama ang AI at data rules
• $221M climate-tech programa: hindi direktang grant ang buong pondo